Veröffentlicht am 03. August 2026
Cyberangriffe werden oft mit einer lauten Katastrophe verbunden: Systeme fallen aus, Bildschirme werden schwarz, Erpresser hinterlassen Forderungen. Dabei beginnen viele Angriffe in der Realität anders - leise, unauffällig, ohne eindeutiges Signal. Sven Ostheider, ehemaliger CIO eines börsennotierten Unternehmens aus der Handelsbranche, hat genau das erlebt. Der Vorfall, den er schildert, zeigt deutlich, dass Angriffe in der Regel keinem klassischen Drehbuch-Schema folgen und lange unerkannt bleiben können; teilweise mit verheerenden Folgen für Unternehmen.
Sven Ostheider im Gespräch zu den Tücken eines stillen Angriffs, der Relevanz klarer Kommunikation und den wichtigsten Learnings zu guter Führung in Krisensituationen.
Der Vorfall, den Sven Ostheider schildert, ist gerade deshalb so wertvoll, weil er kein spektakuläres Ransomware-Narrativ bedient. Er zeigt viel eher eine unbequemere Realität: Angriffe verlaufen oftmals still.
“Das, was man aus dem Fernsehen kennt - also der schwarze Bildschirm mit dem Totenkopf - das passiert in der Realität nicht so“, bestätigt Ostheider. Viel eher berichtet er von harten Tagen voller Unsicherheit und dem mulmigen Gefühl nicht zu wissen: Handelt es sich bei dieser Situation tatsächlich um einen Angriff?
“Es gab bei diesem Fall keinen sofortigen Stillstand, keine offensichtliche Erpressung, keinen klaren, eindeutigen Moment, in dem alle wussten: Jetzt sind wir angegriffen worden. Stattdessen fiel einem sehr engagierten Mitarbeiter eine kleine Anomalie auf. Etwas passte einfach nicht zum gewohnten Verhalten der Systeme. Erst in der weiteren Analyse zeigte sich dann: Es hatte bereits durchgängig unautorisierte Kopierprozesse gegeben - allerdings nicht als klassischer Datenabfluss nach außen, sondern auf versteckte Cloud-Ziele innerhalb der Unternehmensumgebung. Das Ganze passierte leise. Ohne Alarm. Ohne Drama. Und die Systeme akzeptieren es irgendwann einfach als normal. Glücklicherweise waren dabei keine personenbezogenen- oder Finanzdaten abgeflossen. Das stellte sich aber erst im Nachhinein, also nach einer gründlichen forensischen Prüfung heraus. Zu Beginn wusste das allerdings niemand und das Ausmaß des Schadens war einfach unklar.”, so Ostheider.
Für Unternehmen ist eine solche Situation besonders gefährlich. Denn wer nur nach offensichtlichen Angriffsmustern sucht, übersieht möglicherweise das, was sich im Hintergrund schleichend normalisiert.
„Durch Sachlage und Beweise“ wurde dem damaligen Team von Sven Ostheider irgendwann klar, dass es Besuch von „mindestens einem bösen Buben“ gab. Aus einem Verdachtsfall wurde ein nachweisbarer Angriff. Und damit begann der wohl schwierigste Teil für den ehemaligen CIO: Handeln, obwohl noch längst nicht alles klar war.
„Du weißt ja, wo dein Notfallordner steht -oder etwa nicht? Dann guckst du da rein und denkst: Muss ich das jetzt wirklich schon machen? Ist das jetzt schon der Moment?“
Zuständigkeiten, Eskalationswege, Ansprechpartner, Behörden, Dienstleister. Das regelt in der Theorie ein guter Notfallplan. In der Praxis beginnt ein Angriff hingegen oft mit Unsicherheit und der schwierigen Abwägung, ob es tatsächlich an der Zeit ist, den Notfall wirklich auszurufen. „Man weiß, wo der Notfallordner steht, und fragt sich trotzdem, ob jetzt wirklich der Moment ist, ihn zu öffnen. Die Schwelle ist nämlich hoch. Niemand will unnötig eskalieren. Niemand will Vorstand, Aufsichtsrat, Kunden, Banken oder Behörden alarmieren, solange die Lage nicht eindeutig ist. Gleichzeitig kann Zögern wertvolle Zeit kosten.”
Dabei hilft ein guter Notfallplan genau in dieser entscheidenden Phase, beschreibt Sven Ostheider. „Er ersetzt keine Entscheidung, aber er gibt Struktur, wenn noch nicht alle Fakten bekannt sind. Dabei muss ein Notfallplan nicht unbedingt umfangreich sein - er muss funktionieren. Und zwar auch dann, wenn digitale Systeme nicht verfügbar sind“.
Ostheider bringt es genau auf den Punkt: Ein Notfallordner auf dem Server hilft nicht, wenn niemand ihn benutzt, oder kein Zugriff mehr darauf möglich ist. Kontaktlisten, Rollen, Kommunikationswege und externe Ansprechpartner müssen im Zweifelsfall immer offline verfügbar sein.
Während Spezialisten unter Hochdruck Systeme analysieren, Spuren sichern und die Infrastruktur stabilisieren, entsteht auf Führungsebene ein enormer Informationsdruck. Vorstand, Aufsichtsrat, Geldgeber und Partner wollen wissen: Wie schlimm ist es? Wie lange dauert es? Was kostet es? In einem Ernstfall setzt Sven Ostheider dennoch auf die strikte Trennung von technischer Präzisionsarbeit und Kommunikation.
„Gerade die großen Fragen auf Entscheider Ebene lassen sich zu Beginn eines Vorfalls meist nicht gleich akkurat beantworten. In solchen Situationen ist es deshalb extrem wichtig, dem Team als Führungskraft bewusst den Rücken freizuhalten”, so Sven Ostheider. „Der, der arbeitet, kann nicht schreiben! Wer gerade unter Hochdruck Systeme sichert, kann nicht gleichzeitig Management-Updates formulieren und Stakeholder informieren. Unternehmen brauchen genau deshalb eine eigene Kommunikationslinie, die Informationen aus dem technischen Team aufnimmt, einordnet und adressatengerecht weitergibt”.
Die wirkliche Führungsaufgabe in einem solchen Moment ist es, den Maschinenraum arbeitsfähig zu halten. „Also die Spezialisten mit einem eigenen Warroom, Entscheidungsfreiheit, externer Forensik und Security-Unterstützung auszustatten.“
Führung in der Krise bedeutet nach Ostheider aber auch vor allem eins: Fakten von Annahmen zu trennen. Es geht darum, klar und präzise zu formulieren: Was wissen wir? Was wissen wir noch nicht? Welche Maßnahmen laufen? Welche Risiken bestehen? Welche Entscheidungen müssen jetzt getroffen werden? Denn sicher ist: Die Geschäftsführung braucht Klarheit - auch wenn sie unbequem ist. Besonders Sven Ostheider steht zu dem Credo, „dass beschwichtigende Sätze in einer Cyberkrise gefährlich sind. Aussagen wie ‘Ich glaube, alles ist gut’ schaffen keine Sicherheit, sondern untergraben Vertrauen, wenn sich die Lage später anders darstellt”.
CIOs und CISOs müssen diese Klarheit deshalb liefern können. Dafür brauchen sie vor allem Rückhalt und Vertrauen. Gleichzeitig müssen sie in der Lage sein, technische Sachverhalte in Business-Sprache zu übersetzen. Denn Cybersecurity ist nicht nur eine Frage von Firewalls, Monitoring oder Cloud-Konfigurationen. Sie betrifft Umsatz, Reputation, Lieferfähigkeit, Haftung und die Handlungsfähigkeit des gesamten Unternehmens.
Ostheiders Erfahrung zeigt ebenfalls deutlich auf: Nach einem echten Vorfall steigt die Aufmerksamkeit zugunsten der Informationssicherheit: Budgets werden plötzlich freigegeben, neue Rollen geschaffen, Sicherheitsmaßnahmen priorisiert. Doch sobald der Sturm vorbei ist und das Adrenalin abgeklungen, droht die Rückkehr zur alten Wahrnehmung: IT als Kostenfaktor.
„Genau das ist gefährlich. Denn Resilienz entsteht nicht erst mitten im Incident. Sie muss vorher grundlegend aufgebaut werden. Dazu gehören technische Schutzmaßnahmen, aber auch organisatorische Vorbereitung, geübte Notfallprozesse, klare Entscheidungswege, offline verfügbare Kontakte, vorbereitete Kommunikation, externe Forensik-Partner und die finanzielle Fähigkeit, im Ernstfall schnell handeln zu können”.
Am Ende zeigt der beschriebene Vorfall vor allem eines: Cyber Security ist harte Führungsarbeit. Leise Angriffe werden nicht allein durch Technologie erkannt. Notfälle werden nicht allein durch Checklisten bewältigt. Und Vertrauen entsteht nicht durch Beschwichtigung, sondern durch transparente, belastbare Kommunikation.
Der Angriff, der nicht wie ein Angriff aussah, ist deshalb mehr als ein technischer Incident. Er ist ein Lehrstück darüber, wie Organisationen unter Unsicherheit entscheiden, wie Führung unter Druck funktioniert und warum Resilienz lange vor der Krise beginnt. Wer resilient sein will, muss vor dem Ernstfall wissen, wie er Verantwortung verteilt, wie er kommuniziert und wem er vertraut.
Für Ostheider reicht es deshalb nicht, Führung mit Hierarchie, langer Betriebszugehörigkeit oder schnellen Antworten zu verwechseln. Gute Führung entsteht aus Erfahrung, Reflexion und der Bereitschaft, Zusammenhänge wirklich verstehen zu wollen. Gerade in Cyberkrisen zeigt sich, ob Menschen nur Prozesse verwalten, oder ob sie dazu in der Lage sind, Entscheidungen zu treffen und anderen Orientierung zu geben.
Seine vielleicht wichtigste Botschaft geht deshalb über IT-Sicherheit hinaus: „Bleibt neugierig. Denn Neugier ist in der Cybersecurity keine weiche Tugend. Sie ist die Voraussetzung dafür, Anomalien ernst zu nehmen, Risiken früh zu erkennen und aus Erfahrungen bessere Führung entstehen zu lassen.”
Sven Ostheider verfügt über mehr als 25 Jahre Führungserfahrung in IT, Organisationsentwicklung und Transformation. Er war unter anderem als CIO in der Handelsbranche tätig und verantwortete nationale wie internationale IT-Projekte, Strategie- und Bereichsentwicklung, dezentrale Organisationsstrukturen, oder Provider- und Partnersteuerung.
Heute gibt er seine Erfahrungen in verschiedenen Formaten weiter - insbesondere an Nachwuchsführungskräfte und Managerinnen und Manager von morgen. Dabei legt er besonderen Wert auf Austausch und Kommunikation: auf Gespräche, die nicht bei schnellen Antworten stehen bleiben, sondern Zusammenhänge sichtbar machen, Perspektiven erweitern und Orientierung geben.
Sein Fokus liegt auf Führung, Einordnung und der Fähigkeit, aus eigenen wie fremden Erfahrungen bessere Entscheidungen abzuleiten. Denn Entwicklung entsteht für ihn dort, wo Wissen geteilt, Erfahrungen reflektiert und unterschiedliche Blickwinkel ernst genommen werden.
Seine Maxime: Bleibt neugierig!
Das Gespräch führte Angelina Duchale. Es wurde für die Veröffentlichung redaktionell bearbeitet und gekürzt.
Expertise teilen. Menschen verbinden. Zukunft gestalten.
Werden Sie Teil des DAFI Knowledge Hubs und melden sich zu unserem Newsletter an:
Insights von Experten zur IT- und Informationssicherheit
Wissen, verständlich aufbereitet für die Praxis
Einladungen zu exklusiven Events und Netzwerken
